Johan Theuret, directeur général adjoint de la métropole de Rennes : « Chaque cyberattaque renforce l’idée que l’administration demande beaucoup sans protéger suffisamment »

Les services publics sont déjà confrontés aux critiques sur les délais, l’accès et la complexité des démarches. Dans ce contexte, les cyberattaques qui ont frappé au cours de l’été la direction générale des finances publiques, l’éducation nationale et le ministère de la transition écologique, après celles contre la Caisse d’allocations familiales et l’Agence nationale des titres sécurisés, ne sont pas de simples incidents. Elles mettent à l’épreuve le pacte de confiance entre les usagers et les services publics. Ce pacte repose sur une confiance particulière. Lorsqu’il transmet ses données personnelles, parfois parce qu’il n’a pas réellement le choix, le citoyen fait confiance à la puissance publique pour les protéger. Lorsqu’une démarche devient numérique, il dépend d’un système qu’il ne maîtrise pas en échange d’un service accessible, fiable et continu. Cette confiance est au cœur du service public. Or, ces attaques produisent un sentiment qui dépasse largement la seule question informatique. Elles peuvent donner l’impression que l’administration, y compris lorsqu’elle exerce des missions régaliennes, n’est pas capable de protéger les informations que les citoyens sont tenus de lui confier. Pour l’usager, la faille peut devenir le symptôme d’une dégradation plus générale. Si l’Etat ne parvient pas à protéger mes données, comment croire qu’il saura garantir correctement les autres services dont il a la charge ? La cyberattaque nourrit ainsi une analyse déjà prévalente, celle de services publics qui se dégradent toujours davantage. La numérisation fait de la cybersécurité un enjeu de politique publique. Dans son panorama de la cybermenace 2025, l’Agence nationale de la sécurité des systèmes d’information expliquait que 24 % des incidents portés à sa connaissance concernaient les ministères et les collectivités territoriales. Les administrations sont ciblées parce qu’elles concentrent des données sensibles et parce qu’une attaque peut désorganiser la vie quotidienne de millions de personnes. Leur vulnérabilité se mesure donc à leur capacité à tenir la promesse de service. La dématérialisation rend cette exigence plus forte. Près de 90 % des foyers fiscaux, soit 36,5 millions, ont déclaré leurs revenus en ligne en 2025. Pour ses démarches, l’usager doit transmettre des informations personnelles. Le citoyen ne peut pas toujours refuser la collecte. Cette contrainte renforce l’obligation de protection. Une cyberattaque dépasse donc la compromission d’un système. Elle peut conduire des usagers à hésiter à transmettre leurs données ou à soupçonner l’administration de ne pas savoir protéger ce qu’elle leur demande. Le risque est de voir l’attaque devenir une atteinte à la relation entre l’administration et ceux qu’elle sert.

Un enjeu de crédibilité

Cette confiance pose aussi une question de souveraineté. Où les données sont-elles stockées ? Qui peut y accéder ? Qui détient les clés de chiffrement ? Et, surtout, l’administration peut-elle reprendre la main si son fournisseur devient indisponible ou compromis ? Le droit européen encadre les transferts hors de l’Union, mais la conformité ne suffit pas. Il faut mesurer les dépendances et la capacité de reprendre le contrôle sur ces données. Cette exigence vaut pour les prestataires. Externaliser ne signifie pas externaliser la responsabilité. Une administration peut confier certaines tâches à un opérateur privé ; elle ne peut lui transférer la responsabilité de protéger les données ou de garantir la continuité. Les contrats publics doivent imposer maîtrise des données, contrôle des accès, chiffrement et réversibilité. La sécurité ne peut toutefois pas signifier zéro attaque – elle doit signifier réduire la probabilité d’une compromission, limiter les données exposées, détecter rapidement, restaurer les systèmes et tirer les leçons de l’incident. Il faut passer de la protection à la résilience. Et cette résilience doit devenir un investissement public durable. Elle suppose des architectures solides, une authentification forte, des habilitations rigoureuses, le cloisonnement des bases, des sauvegardes restaurables et des exercices de crise. Avec l’intelligence artificielle, la sécurité doit être pensée dès la conception. La continuité numérique doit devenir une composante du principe de continuité du service public. Modes dégradés, procédures alternatives, sauvegardes testées et capacités de reprise doivent être prévus. Cette exigence a un coût, mais il faut le comparer au prix d’une crise, entre interruption du service, reconstruction, accompagnement des victimes et perte de confiance. Car c’est la crédibilité de l’action publique qui est en jeu. Les services publics sont déjà décriés. Ils n’ont pas besoin que des failles de sécurité viennent ajouter une nouvelle raison de douter. Chaque incident renforce l’idée que l’administration demande beaucoup sans protéger suffisamment. Lorsque cette perception touche le régalien, elle atteint la confiance dans la capacité de l’Etat à assurer ses missions essentielles. La transformation numérique ne sera durablement acceptée que si ce pacte est respecté. Quand la puissance publique demande des données, elle doit les protéger. Quand un service devient numérique, elle doit en garantir la continuité. Avec un prestataire, elle doit conserver les moyens de contrôler et de reprendre la main. Après une attaque, elle doit pouvoir résister, rétablir, informer et rendre compte. La cybersécurité est devenue une condition de la promesse républicaine de service public. Elle ne protège pas seulement des systèmes. Elle protège la relation entre les citoyens et l’administration. Laisser le numérique devenir un nouveau point de rupture serait une erreur. Restaurer la confiance passe par la capacité à protéger, à résister et à tenir parole. Johan Theuret est cofondateur du think tank Le Sens du service public et directeur général adjoint de la métropole et de la ville de Rennes.